Aide de Tableau Server sur Windows

1. Mettre à jour vers la version actuelle

Nous vous recommandons de toujours exécuter la dernière version de Tableau Server. Par ailleurs, Tableau publie régulièrement des mises à jour de maintenance de Tableau Server comprenant des correctifs pour les vulnérabilités de sécurité connues. (Des informations concernant les vulnérabilités de sécurité connues sont disponibles sur la page Bulletins de sécurité Tableau et la page Salesforce Security Advisors(Le lien s’ouvre dans une nouvelle fenêtre).) Nous vous recommandons de vérifier les notifications des mises à jour de maintenance pour savoir si vous devez les installer.

Pour obtenir la version de distribution ou la version de maintenance la plus récente de Tableau Server, rendez-vous sur le Portail client(Le lien s’ouvre dans une nouvelle fenêtre).

2. Configurer le protocole SSL/TLS avec un certificat de confiance valide

Le protocole Secure Sockets Layer (SSL/TLS) est indispensable pour assurer la sécurité des communications avec Tableau Server. Configurez Tableau Server avec un certificat de confiance valide (pas un certificat autosigné) afin que Tableau Desktop, les appareils mobiles et les clients Web puissent se connecter au serveur via une connexion sécurisée. Pour plus d’informations, consultez SSL.

3. Désactiver les anciennes versions du protocole TLS

Tableau Server utilise le protocole TLS pour authentifier et chiffrer de nombreuses connexions entre les composants et avec les clients externes. Les clients externes tels que les navigateurs, Tableau Desktop et Tableau Mobile se connectent à Tableau en TLS via HTTPS. Le protocole TLS (Transport Layer Security) est une version améliorée du SSL. En fait, les versions plus anciennes du SSL (SSL v2 et v3) ne sont plus considérées comme des normes de communication sécurisée adéquates. Dès lors, Tableau Server n’autorise pas les clients externes à utiliser les versions 2 et 3 du protocole SSL pour se connecter.

Nous vous recommandons d’autoriser les clients externes à se connecter à Tableau Server avec le protocole TLS v1.3 et TLS v1.2 uniquement.

TLS v1.2 est toujours considéré comme un protocole sécurisé et de nombreux clients (y compris Tableau Desktop) ne prennent pas encore en charge TLS v1.3.

Les clients compatibles TLS v1.3 négocieront TLS v1.3 même si TLS v1.2 est pris en charge par le serveur.

La commande tsm suivante active la version TLS v1.2 et v1.3 (avec le paramètre « all ») et désactive les protocoles SSL v2, SSL v3, TLS v1 et TLS v1.1 (en ajoutant le signe moins [-] à un protocole donné). TLS v1.3 n’est pas encore pris en charge par tous les composants de Tableau Server.

tsm configuration set -k ssl.protocols -v "all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1"

tsm pending-changes apply

Pour modifier les protocoles qui régissent SSL pour le référentiel Tableau Server PostgreSQL, consultez pgsql.ssl.ciphersuite.

Vous pouvez également modifier la liste par défaut des suites de chiffrement que Tableau Server utilise pour les sessions SSL/TLS. Pour plus d’informations, consultez la section ssl.ciphersuite dans Options tsm configuration set.

4. Configurer le chiffrement SSL pour le trafic interne

Configurez Tableau Server pour qu’il utilise le protocole SSL pour chiffrer l’ensemble du trafic entre le référentiel Postgres et les autres composants du serveur. Par défaut, SSL est désactivé pour les communications entre les composants du serveur et le référentiel. Nous recommandons d’activer le protocole SSL interne pour toutes les instances de Tableau Server, même les installations avec un seul serveur. L’activation du protocole SSL interne est particulièrement importante pour les déploiements multi-nœuds. Voir Configurer SSL pour la communication Postgres interne.

5. Activer la protection par pare-feu

Tableau Server a été conçu pour fonctionner à l’intérieur d’un réseau interne protégé.

Important : N’exécutez pas Tableau Server out tout autre composant de Tableau Server sur Internet ou dans un DMZ. Tableau Server doit être exécuté avec le réseau entreprise protégé par un pare-feu Internet. Nous recommandons la configuration d’une solution de proxy inverse pour les clients Internet qui doivent se connecter à Tableau Server. Consultez Configuration des proxys et des équilibreurs de charge pour Tableau Server.

Il est conseillé d’activer un pare-feu local sur le système d’exploitation afin de protéger Tableau Server dans les déploiements à un ou plusieurs nœuds. Dans une installation distribuée (à plusieurs nœuds) de Tableau Server, la communication entre les nœuds n’est pas une communication sécurisée. Par conséquent, vous devez activer les pare-feu sur les ordinateurs qui hébergent Tableau Server.

Pour empêcher toute personne malveillante d’observer les communications entre les nœuds, configurez un réseau local virtuel séparé ou une autre solution de sécurité de couche réseau.

Consultez Ports de Tableau Services Manager pour comprendre de quels ports et services Tableau Server a besoin.

6. Limiter l’accès à l’ordinateur serveur et aux répertoires importants

Les fichiers de configuration de Tableau Server et les fichiers journaux peuvent contenir de précieux renseignements pour un cybercriminel. Veillez dès lors à restreindre l’accès physique à la machine qui exécute Tableau Server. Assurez-vous également que seuls les utilisateurs autorisés et les utilisateurs de confiance ont accès aux fichiers Tableau Server du répertoire C:\ProgramData\Tableau.

7. Mettre à jour Tableau Server pour utiliser le compte Exécuter en tant qu’utilisateur

Par défaut, Tableau Server s’exécute sous le compte Windows prédéfini Services réseau (Autorité NT / Service réseau). L’utilisation du compte par défaut est acceptable dans les scénarios où Tableau Server ne doit pas se connecter à des sources de données externes nécessitant l’authentification Windows. Toutefois, si vos utilisateurs doivent accéder à des sources de données authentifiées par Active Directory, mettez à jour le compte Exécuter en tant qu’utilisateur vers un compte de domaine. Il est important de minimiser les droits du compte que vous utilisez pour le compte Exécuter en tant qu’utilisateur. Pour plus d’informations, consultez Compte Exécuter en tant que service.

8. Générer de nouveaux secrets et jetons

Chaque service Tableau Server qui communique avec le référentiel ou le serveur de cache doit d’abord s’authentifier avec un jeton secret. Le jeton secret est généré durant l’installation de Tableau Server. La clé de chiffrement utilisée par le protocole SSL interne pour chiffrer le trafic vers le référentiel Postgres est également générée durant l’installation.

Après avoir installé Tableau Server, nous vous recommandons de générer de nouvelles clés de chiffrement pour votre déploiement.

Ces actifs de sécurité peuvent être générés à nouveau à l’aide de la commande tsm security regenerate-internal-tokens.

Exécutez les commandes suivantes :

tsm security regenerate-internal-tokens

tsm pending-changes apply

9. Désactiver les services que vous n’utilisez pas

Pour minimiser la surface d’attaque de Tableau Server, désactivez les points de connexion inutiles.

Service JMX

JMX est désactivé par défaut. S’il est activé, mais que vous ne l’utilisez pas, désactivez-le en utilisant la séquence suivante de commandes :

tsm configuration set -k service.jmx_enabled -v false

tsm pending-changes apply

10. Vérifier la configuration de la durée de vie de la session

Par défaut, Tableau Server n’a pas de durée limite de session absolue. Cela signifie que les sessions (création Web) d’un client dans un navigateur peuvent rester ouvertes indéfiniment tant que la durée limite d’inactivité de Tableau Server n’est pas dépassée. La durée limite d’inactivité par défaut est de 240 minutes.

Si votre politique de sécurité l’exige, vous pouvez définir une durée limite de session absolue. Assurez-vous de définir le délai d’expiration absolu de votre session dans une plage qui accepte les opérations de téléversement d’extraits ou de publication de classeur à exécution la plus longue dans votre entreprise. Si vous définissez le délai d’expiration de la session sur une durée trop courte, les extraits et les publications échoueront pour les opérations qui durent le plus longtemps.

Pour définir le délai d’expiration de la session, exécutez les commandes suivantes :

tsm configuration set -k wgserver.session.apply_lifetime_limit -v true

tsm configuration set -k wgserver.session.lifetime_limit -v value, où value correspond au nombre de minutes. La valeur par défaut est 1440, qui correspond à 24 heures.

tsm configuration set -k wgserver.session.idle_limit -v value, où value correspond au nombre de minutes. La valeur par défaut est 240.

tsm pending-changes apply

Les sessions pour les clients connectés (Tableau Desktop, Tableau Mobile, Tableau Prep Builder, Bridge et jetons d’accès personnels) utilisent les jetons OAuth pour empêcher les utilisateurs de se connecter en rétablissant une session. Vous pouvez désactiver ce comportement si vous souhaitez que toutes les sessions clients Tableau soient uniquement régies par les limites de session dans un navigateur contrôlées par les commandes ci-dessus. Consultez Désactiver l’authentification client automatique.

12. Activer HTTP Strict Transport Security pour les clients de navigateurs Web

HTTP Strict Transport Security (HSTS) est une stratégie configurée sur des services d’application Web, tels que Tableau Server. Lorsqu’un navigateur compatible rencontre une application Web exécutant HSTS, toutes les communications avec le service doivent s’effectuer sur une connexion sécurisée (HTTPS). HSTS est pris en charge par les principaux navigateurs.

Pour plus d’informations sur le mode de fonctionnement de HSTS et les navigateurs qui le prennent en charge, consultez la page Web de l’Open Web Application Security Project, Fiche de référence sur HTTP Strict Transport Security(Le lien s’ouvre dans une nouvelle fenêtre).

Pour activer HSTS, exécutez les commandes suivantes dans Tableau Server :

tsm configuration set -k gateway.http.hsts -v true

Par défaut, la stratégie HSTS est configurée pour une année (31 536 000 secondes). Cette période spécifie la durée pendant laquelle le navigateur accédera au serveur via HTTPS. Vous pouvez envisager de configurer une durée maximale courte pendant le déploiement initial de HSTS. Pour modifier cette période, exécutez tsm configuration set -k gateway.http.hsts_options -v max-age=<seconds>. Par exemple, pour configurer une période de stratégie HSTS applicable sur 30 jours, saisissez tsm configuration set -k gateway.http.hsts_options -v max-age=2592000.

tsm pending-changes apply

13. Désactiver l’accès Invité

Les licences basées sur le nombre de cœurs dans Tableau Server incluent une option Utilisateur invité qui permet à tous les utilisateurs dans votre organisation de voir des vues Tableau intégrées dans des pages Web et d’interagir avec elles.

L’accès Utilisateur invité est activé par défaut sur les serveurs Tableau déployés avec des licences basées sur les cœurs.

L’accès Invité permet aux utilisateurs de voir les vues intégrées. L’utilisateur invité ne peut pas accéder à l’interface Tableau Server et ne voit pas les éléments de l’interface serveur dans la vue, par exemple le nom d’utilisateur, les paramètres de compte, les commentaires, etc.

Si votre organisation a déployé Tableau Server avec des licences basées sur le nombre de cœurs et que l’accès Invité n’est pas requis, désactivez l’accès Invité.

Vous pouvez désactiver l’accès Invité au niveau du serveur ou du site.

Vous devez être un administrateur de serveur pour désactiver le compte Invité au niveau du serveur ou du site.

Pour désactiver l’accès Invité au niveau du serveur :

1. Dans le menu Site, cliquez sur Gérer tous les sites puis cliquez sur Paramètres > Général.

2. Dans Accès Invité, désélectionnez la case à cocher Activer le compte Invité.

3. Cliquez sur Enregistrer.

Pour désactiver l’accès Invité pour un site :

1. Dans le menu du site, sélectionnez un site.

2. Cliquez sur Paramètres, puis dans la page Paramètres, désactivez la case à cocher Activer le compte Utilisateur invité.

Pour plus d’informations, consultez Utilisateur invité.

14. Définir l’en-tête HTTP referrer-policy sur « same-origin »

Depuis 2019.2, Tableau Server inclut la possibilité de configurer le comportement de l’en-tête HTTP Referrer-Policy. Cette stratégie est activée avec un comportement par défaut qui inclura l’URL d’origine pour toutes les connexions "secure as" (no-referrer-when-downgrade), avec envoi des informations de référent d’origine uniquement aux connexions similaires (HTTP vers HTTP) ou plus sécurisées (HTTP vers HTTPS).

Cependant, nous vous recommandons de définir cette valeur sur same-origin, qui n’envoie que les informations du référent à same-site origins. Les demandes provenant de l’extérieur du site ne recevront pas d’informations de référent.

Pour mettre à jour la stratégie referrer-policy sur same-origin, exécutez les commandes suivantes :

tsm configuration set -k gateway.http.referrer_policy -v same-origin

tsm pending-changes apply

Pour plus d’informations sur la configuration d’en-têtes supplémentaires pour améliorer la sécurité, consultez En-têtes de réponse HTTP.

15. Configurer TLS pour la connexion SMTP

Depuis 2019.4, Tableau Server inclut la possibilité de configurer TLS pour la connexion SMTP. Tableau Server ne prend en charge que STARTTLS (TLS opportuniste ou explicite).

Tableau Server peut être configuré en option pour se connecter à un serveur de messagerie. Une fois SMTP configuré, Tableau Server peut envoyer un courriel aux administrateurs de serveur pour les informer de pannes système, et aux utilisateurs du serveur pour des informations sur les vues auxquelles ils sont abonnés et les alertes basées sur les données.

Pour configurer TLS pour SMTP :

1. Téléversez le certificat compatible sur Tableau Server. Consultez tsm security custom-cert add.
2. Configurez la connexion TLS en utilisant l’interface en ligne de commande TSM.

   Exécutez les commandes TSM suivantes pour activer et forcer les connexions TLS au serveur SMTP et pour activer la vérification du certificat.

   tsm configuration set -k svcmonitor.notification.smtp.ssl_enabled -v true

   tsm configuration set -k svcmonitor.notification.smtp.ssl_required -v true

   tsm configuration set -k svcmonitor.notification.smtp.ssl_check_server_identity -v true

   Par défaut, Tableau Server prend en charge les versions TLS 1, 1.1 et 1.2, mais nous vous recommandons de spécifier la version TLS la plus élevée prise en charge par le serveur SMTP.

   Exécutez la commande suivante pour définir la version. Les valeurs valides sont SSLv2Hello, SSLv3, TLSv1, TLSv1.1 et TLSv1.2. L’exemple suivant définit la version TLS sur la version 1.2. :

   tsm configuration set -k svcmonitor.notification.smtp.ssl_versions -v "TLSv1.2"

   Pour plus d’informations sur les autres options de configuration TLS, consultez Configurer les paramètres SMTP.

3. Redémarrez Tableau Server pour appliquer les modifications. Exécutez la commande suivante :

   tsm pending-changes apply

16. Configurer SSL pour LDAP

Si votre déploiement de Tableau Server est configuré pour utiliser un magasin d’identité externe LDAP générique, nous vous recommandons de configurer SSL pour protéger l’authentification entre Tableau Server et votre serveur LDAP. Consultez Configurer le réseau chiffré vers le magasin d’identités externe LDAP.

Si votre déploiement Tableau Server est configuré pour utiliser Active Directory, nous vous recommandons d’activer Kerberos pour protéger le trafic d’authentification. Consultez Kerberos.

Liste des changements